Email-Worm.Win32.Gokar

Classe principal: VirWare

Vírus e worms são programas maliciosos que se auto-replicam em computadores ou através de redes de computadores sem que o usuário esteja ciente; cada cópia subsequente de tais programas maliciosos também é capaz de se auto-replicar. Programas maliciosos que se espalham através de redes ou infectam máquinas remotas quando são ordenados pelo “proprietário” (por exemplo, Backdoors) ou programas que criam múltiplas cópias que não podem se auto-replicar não fazem parte da subclasse Vírus e Worms. A principal característica usada para determinar se um programa é ou não classificado como um comportamento separado dentro da subclasse Vírus e Worms é como o programa se propaga (ou seja, como o programa malicioso espalha cópias de si mesmo via recursos locais ou de rede). como arquivos enviados como anexos de email, através de um link para um recurso web ou FTP, através de um link enviado em uma mensagem ICQ ou IRC, via redes de compartilhamento de arquivos P2P, etc. Alguns worms são distribuídos como pacotes de rede; estes penetram diretamente na memória do computador, e o código do worm é então ativado. Os worms usam as seguintes técnicas para penetrar em computadores remotos e iniciar cópias de si mesmos: engenharia social (por exemplo, uma mensagem de email sugerindo que o usuário abre um arquivo anexado), explorando erros de configuração de rede (como copiar para um disco totalmente acessível) e explorando lacunas na segurança do sistema operacional e do aplicativo. Os vírus podem ser divididos de acordo com o método usado para infectar um computador: vírus de arquivo vírus do setor de inicialização vírus de macro vírus de script Qualquer programa dentro dessa subclasse pode ter funções adicionais de cavalo de Tróia. Também deve ser notado que muitos worms usam mais de um método para distribuir cópias via redes. As regras para classificar objetos detectados com múltiplas funções devem ser usadas para classificar esses tipos de worms.

Classe: Email-Worm

Email-Worms espalhado via email. O worm envia uma cópia de si mesmo como um anexo a uma mensagem de e-mail ou um link para seu arquivo em um recurso de rede (por exemplo, um URL para um arquivo infectado em um site comprometido ou um site de propriedade de hackers). No primeiro caso, o código do worm é ativado quando o anexo infectado é aberto (ativado). No segundo caso, o código é ativado quando o link para o arquivo infectado é aberto. Em ambos os casos, o resultado é o mesmo: o código do worm é ativado. Os worms de email usam uma variedade de métodos para enviar emails infectados. Os mais comuns são: usar uma conexão direta com um servidor SMTP usando o diretório de e-mail embutido no código do worm usando os serviços do MS Outlook usando as funções do Windows MAPI. Os worms de e-mail usam várias fontes diferentes para encontrar endereços de e-mail para os quais os e-mails infectados serão enviados: o catálogo de endereços do MS Outlook, um banco de dados de endereços WAB .txt armazenado no disco rígido: o worm pode identificar quais strings são e-mails de endereços de e-mail na caixa de entrada (alguns worms de e-mail até mesmo “respondem” a e-mails encontrados na caixa de entrada) Muitos worms de e-mail usam mais de uma das fontes listadas acima. Há também outras fontes de endereços de e-mail, como catálogos de endereços associados a serviços de e-mail baseados na web.

Plataforma: Win32

O Win32 é uma API em sistemas operacionais baseados no Windows NT (Windows XP, Windows 7, etc.) que oferece suporte à execução de aplicativos de 32 bits. Uma das plataformas de programação mais difundidas do mundo.

Descrição

Detalhes técnicos

Trata-se de um worm de vírus que se espalha pela Internet conectado a e-mails infectados, envia-se por canais de IRC e infecta um servidor IIS. Ele também se protege de programas antivírus.

O worm em si é um arquivo EXE do Windows PE, com 14336 bytes de comprimento, e está escrito em Visual Basic 6. Ele é compactado em um programa UPX. Depois de desembalar, o tamanho é de 53 Kb. Contém as seguintes cadeias de texto:

W32.Karen by Gobo ... feliz aniversariante !!! gritos: W1z, Merl, NM e quem mais. #teamvirus no Undernet ... diga olá. bob é o rei dos bots :)

Mensagens infectadas contêm o seguinte:

Assunto é uma das 15 variantes:

• Se eu fosse Deus e não acreditasse em mim seria blasfêmia
• A equipe VS KnightRider ... quem ganharia?
• Apenas um beijo, vai melhorar. Apenas um beijo, e ficaremos bem.
• Eu não posso evitar esse desejo, me consolar. Li> E eu sinto mais a sua falta, minha querida ...
• ... Quando as folhas de outono começam a cair
• Está escuro aqui, você pode sentir tudo ao redor. O subterrâneo.
• Eu sempre estarei com você, às vezes preto, às vezes branco ...
• .. e não há necessidade de estar com medo, você está sempre em minha mente.
• Você apenas dá um passo gigantesco, um passo acima.
• O ar te segurará se você tentar, confiar em minhas asas de desejo. Glória, Glorificada .......
• Os horizontes se inclinam para frente, nos oferecendo espaço para dar novos passos de mudança.
• Eu gosto dessa calma, momentos antes da tempestade Querida, quando você caiu ... quando acabou?
• Você vai me encontrar ... e nós vamos voar para longe!

Anexar nome do arquivo é aleatório. Tem uma das seguintes extensões:
.exe, .pif, .scr, .bat, .com

Os nomes de amostra são os seguintes:

3tgf3tgf3tgf373774285313tgf.scr
ffdasfffdasfffdasf145361008658ffdasf.com
rewfdrewfdrewfd30741913208rewfd.scr

O corpo da mensagem é uma das quatro variantes a seguir:

Ei

• Dizem que o amor é cego ... bem, o apego provavelmente prova isso. Muito bom de qualquer forma, não é?

• Você deveria gostar disso, poderia ter sido feito para você falar com você mais tarde

• Feliz Aniversário Sim ok, então não é seu, é meu :) ainda é motivo para uma comemoração, confira os detalhes que eu anexei

• Isso me fez rir Tenho mais algumas coisas para te contar mais tarde, mas eu não posso parar agora, então eu te enviarei mais tarde ou te darei um anel se isso é ok ?! Falar com você mais tarde

Instalação

Durante a instalação, o worm se copia para o diretório de sistema do Windows com o nome KAREN.EXE e registra esse arquivo na chave de execução automática do registro do sistema.

HKLMSoftwareMicrosoftWindowsCurrentVersionRun
Karen karen.exe

Espalhando via e-mail

Para enviar mensagens infectadas, o worm usa o MS Outlook e envia mensagens para todos os endereços encontrados no catálogo de endereços do Outlook.

Gokar1.bmp

Espalhando via canais de IRC

O worm sobrescreve o arquivo C: MIRCSCRIPT.INI para o novo arquivo de script.

Este script envia um arquivo EXE para cada usuário que ingressar no canal infectado. Também envia a seguinte mensagem:

Se isso não te faz sorrir, nada vai.

Altera o apelido de um usuário para o seguinte:

Karen, verme, vírus, sexo

O script ignora os usuários que enviam os textos ::

script, infectado, dcc, script, infectado

Ele se junta ao canal #teamvirus se ele receber um texto com char 'e'.

Infecting IIS server

O worm sobrescreve o arquivo C: INETPUBWWROOTDEFAULT.HTM com seu código e se copia para o diretório C: INETPUBWWWROOT com o nome WEB.EXE. O novo DEFAULT.HTM contém um link para o arquivo WEB.EXE. Também tem um comentário de texto:

Como resultado, o servidor IIS local está infectado pelo worm.

Protegendo contra programas antivirais

Durante a instalação no sistema do computador, o worm verifica os processos em execução. Ele verifica seus nomes na lista a seguir:

:

VSHWIN32.EXE
PW32.EXE
_avpm.exe
avpm.exe
ICLOAD95.EXE
ICMON.EXE
IOMon98.exe
VetTray.exe
Claw95.exe
f-stopw.exe

O worm termina esses processos na memória.

Saiba mais

Descubra as estatísticas das vulnerabilidades que se espalham em sua região statistics.securelist.com

Encontrou uma imprecisão na descrição desta vulnerabilidade? Avise-nos!